[решено] При открытии общего доступа к папкам не учитываются права установленные в Безопасност

[WooDFox]

Есть сервер с подключенным к нему LUNом от SAN, предположим, его имя Storage

Пример дерева папок:

Root (Доступ на чтение всем)

-Private (Доступ на чтение всем)

--Dep1 (Доступ только Dep1)

--Dep2 (Доступ только Dep2)

-Public (Доступ на чтение всем)

--Dep1 (Доступ на чтение всем, полный - только Dep1)

--Dep2 (Доступ на чтение всем, полный - только Dep2)



Необходимо, чтобы в списке шар была только корневая папка. Соответственно, открываем к ней общий досуп с правами на чтение группы "Domain Users", "Безопасность" не трогаем.

Теперь берем папку \Public\Dep1 , в безопасности добавляем группу Dep1 и выставляем флаг полного доступа.

Итог - к данной папке по пути \\Storage\Root\Public\Dep1 доступ имеют все только на чтение, и группа Dep1 в том числе.

Со всеми остальными каталогами аналогичная ситуация.



Не работает и при расположении папки на локальном диске, и при расположении на SAN.

Не работает на серверах 2003/2008R2

Локально на Win7x64 такой подход к организации доступа работает.



Пробовал сбрасывать полностью права с помощю CACLS, перемещать файлы на другой том NTFS.



Пожалуйста, подскажите, в чем моя проблема?

[kim-aa]

Цитата WooDFox:



Необходимо, чтобы в списке шар была только корневая папка. Соответственно, открываем к ней общий досуп с правами на чтение группы "Domain Users", "Безопасность" не трогаем.

Теперь берем папку \Public\Dep1 , в безопасности добавляем группу Dep1 и выставляем флаг полного доступа.

Итог - к данной папке по пути \\Storage\Root\Public\Dep1 доступ имеют все только на чтение, и группа Dep1 в том числе.

[решено] При открытии общего доступа к папкам не учитываются права установленные в Безопасност

1)

Вы управляете правами NTFS или правами на сетевой ресурс?

То, что вы описали возможно сделать только правами NTFS.



2)

Скриншоты для данного действа приведите.

Лучше приводить "до" и "после"

[WooDFox]

Цитата kim-aa:



1)

Вы управляете правами NTFS или правами на сетевой ресурс?

То, что вы описали возможно сделать только правами NTFS.

[решено] При открытии общего доступа к папкам не учитываются права установленные в Безопасност

Правами NTFS.




Цитата kim-aa:



2)

Скриншоты для данного действа приведите.

Лучше приводить "до" и "после"

[решено] При открытии общего доступа к папкам не учитываются права установленные в Безопасност

Сейчас сделаю.

[WooDFox]

5 - попытка создать папку.

Вложения

[Расширение jpg было запрещено, вложение больше недоступно.]

Вложения

[Расширение jpg было запрещено, вложение больше недоступно.]

Вложения

[Расширение jpg было запрещено, вложение больше недоступно.]

Вложения

[Расширение jpg было запрещено, вложение больше недоступно.]

Вложения

[Расширение jpg было запрещено, вложение больше недоступно.]

[__sa__nya]

WooDFox, вы на вашу шару root (или как она там у вас называется) дайте доступ не только на чтение (рис1), но и на изменение (Права доступа на шару действуют так: более " перекрывают" более "мягкие" - если NTFS-правами на папку вы выставили изменение, а share-правами только чтение, то итоговый доступ будет "чтение", и наоборот).

[WooDFox]

То есть, я правильно понимаю, что фактически, что бы разграничить доступ мне надо на каждом ограничиваемом каталоге выставлять NTFS-права для каждого отдела?

Вот так:

Root (Share:Чтение и изменение) (NTFS:Только чтение всем)

-Private (NTFS:Только чтение всем)

--Dep1 (NTFS:Полный доступ Dep1;Запретить всё Dep2;Запретить всё Dep3)

--Dep2 (NTFS:Полный доступ Dep2;Запретить всё Dep1;Запретить всё Dep3)

-Public (NTFS:Только чтение всем)

--Dep1 (NTFS:Полный доступ Dep1;Только чтение Dep2;Только чтение Dep3)

--Dep2 (NTFS:Полный доступ Dep2;Только чтение Dep1;Только чтение Dep3)

Мне кажется, что это неправильно...

И, повторюсь, на Вин7 схема, описанная в начале темы, работает правильно.

[__sa__nya]

Если вы запрещаете только для того, чтобы, например Dep2 не могли ничего писать в папку Dep1, то запрет делать не обязательно- т.к. если пользуну или группе нет явного разрешения на запись, то он в папку ничего и не запишет. А так в общем правильно.


Цитата WooDFox:



И, повторюсь, на Вин7 схема, описанная в начале темы, работает правильно.

[решено] При открытии общего доступа к папкам не учитываются права установленные в Безопасност

- значить 7 дает разрешение "запись" на шару .

[Ivan Bardeen]

Цитата WooDFox:



Root (Share:Чтение и изменение) (NTFS:Только чтение всем)

-Private (NTFS:Только чтение всем)

--Dep1 (NTFS:Полный доступ Dep1;Запретить всё Dep2;Запретить всё Dep3)

--Dep2 (NTFS:Полный доступ Dep2;Запретить всё Dep1;Запретить всё Dep3)

-Public (NTFS:Только чтение всем)

--Dep1 (NTFS:Полный доступ Dep1;Только чтение Dep2;Только чтение Dep3)

--Dep2 (NTFS:Полный доступ Dep2;Только чтение Dep1;Только чтение Dep3)

Мне кажется, что это неправильно...

[решено] При открытии общего доступа к папкам не учитываются права установленные в Безопасност

Неправильно, так как в вашем случае можно избежать явных запретов

Предлагаю так:

Root (Share:Чтение и изменение) (NTFS:Только чтение всем и только для этой папки)

-Private (NTFS:Только чтение всем и только для этой папки)

--Dep1 (NTFS:Полный доступ Dep1)

--Dep2 (NTFS:Полный доступ Dep2)

-Public (NTFS:Только чтение всем)

--Dep1 (NTFS:Полный доступ Dep1;Только чтение Dep2;Только чтение Dep3)

--Dep2 (NTFS:Полный доступ Dep2;Только чтение Dep1;Только чтение Dep3)

[WooDFox]

Спасибо, проблема решена.

На правильную мысль меня натолкнул ответ в ТехНэте. На всякий случай, вставляю сюда - вдруг кому пригодится:





Проблема в том, что Вы неправильно поняли как совместно работают разрешения SMB (доступ по сети) и NTFS. Будет действовать наиболее жёсткое разрешение.



При доступе к общей сетевой папке SMB разрешения выступают как фильтр, который пропускает максимум только тот тип доступа который Вы определили для общей папки. В вашем случае Domain Users имеют максимум Read при доступе по сети к любой из папок. Разрешения NTFS можно только ужесточить.



Дайте вашим пользователям SMB разрешение Change или Full Control. Всё лишнее можно "порезать" разрешениями NTFS.



Administering Shared Folders

http://www.microsoft.com/mspress/boo...hap/5509a.aspx

(When you combine shared folder permissions and NTFS permissions, the more restrictive permission is always the overriding permission)



Managing Permissions for Shared Folders

http://technet.microsoft.com/en-us/l.../cc753731.aspx

PS. Обычно используют для таких целей Authenticated Users, а не Domain Users.

[volk1234]

по разрешениям NTFS - нужно давать пользователям право Modify, а не полный доступ - ибо им ни к чему право на смену владельца.

А еще лучше дать право Modify, группе Creator-Owner, а остальным право чтение и выполнение, либо тоже Modify но с убраными галками низкоуровневых разрешений - удаление и удаление файлов и подпапок.

Таким образом достигается разграничение прав внутри групп Dep1, зачем другому пользователю право на удаление файла который не он создавал? Т.е. люди смогут создавать, редактировать, просматривать документы. А владельцы еще и удалять свои файлы.